Partnerejede firmaer: når partnerkredsen skal beslutte en sikkerhedstest

I et advokat-, revisions- eller rådgivningsfirma ejet af partnerne er der ingen klar linje mellem ejere, bestyrelse og direktion. Den enkelte partner har sine egne klienter, sin egen omsætning og sin egen opfattelse af, hvad firmaet skal bruge penge på. Når spørgsmålet om en sikkerhedstest kommer op, risikerer det at blive en drøftelse, hvor alle er enige om, at det er vigtigt, og ingen tager ansvaret. Svaret hviler på to forhold: firmaets klienter stoler på, at alle partnere passer på deres oplysninger, og derfor er sikkerheden et fælles anliggende, der skal have en navngiven ejer i partnerkredsen og en fælles beslutning.

Klienternes tillid er fælles

Klienten vælger en bestemt partner, men oplysningerne ligger i firmaets systemer. En svaghed i dokumenthåndteringen eller i fjernadgangen rammer alle partneres klienter på én gang. Advokatsamfundet beskriver i sin vejledning om tavshedspligt, at pligten ikke kun omfatter den direkte videregivelse af oplysninger, men også de situationer, hvor advokaten ikke har sikret sig tilstrækkeligt mod, at oplysninger i advokatens varetægt kommer til andres kundskab. For revisorer siger revisorloven § 30, at straffelovens regler om tavshedspligt finder tilsvarende anvendelse.

Behandler firmaet personoplysninger, kræver databeskyttelsesforordningen artikel 32 passende sikkerhedsforanstaltninger, herunder en procedure for regelmæssig afprøvning, vurdering og evaluering af, om de virker. Teksten er ikke juridisk rådgivning, og de konkrete krav til jeres firma afhænger af branchens regler og af jeres egne forhold. → GDPR og sikkerhedstest

Hvem i partnerkredsen ejer sikkerheden?

I et selskab udpeger direktionen en ejer. I en partnerkreds må partnerne selv beslutte, hvem der har ansvaret. Det kan være den administrerende partner, en partner med ansvar for drift, eller en partner, der har påtaget sig IT som særligt område. Det vigtige er, at det er én navngiven partner, og at ansvaret står i referatet fra partnermødet.

Ejeren af sikkerheden har ikke ansvaret for at forstå teknikken. Ejeren skal sørge for, at spørgsmålet bliver forberedt, at der bliver bestilt en test, når partnerkredsen har besluttet det, og at der bliver fulgt op. Hvis firmaet har en ansat driftschef eller IT-ansvarlig, kan den daglige kontakt ligge dér, mens partneren står for beslutningerne. Ejeren bør også have et mandat, der er stort nok til at handle mellem partnermøderne. Hvis testen afdækker en alvorlig svaghed, kan det ikke vente en måned på næste møde. Partnerkredsen kan derfor på forhånd give ejeren lov til at sætte rettelser i gang op til en aftalt ramme og til at orientere den administrerende partner med det samme, når noget alvorligt dukker op. → Hvem i ledelsen skal eje sikkerhedstesten?

Beslutningen på partnermødet

Partnerskabsaftalen eller vedtægterne afgør, hvilke beslutninger der kræver flertal, enighed eller blot den administrerende partners godkendelse. En mindre sikkerhedstest kan ligge inden for de almindelige driftsudgifter, men en større test eller omfattende rettelser kan kræve en beslutning på partnermødet.

Et godt oplæg til partnermødet svarer på:

Formålet · hvad vil vi vide, og hvorfor nu?
Omfanget · hvilke systemer, og hvilke klientdata ligger i dem?
Hvem der berøres · kan testen mærkes i den daglige drift eller hos klienterne?
Opfølgningen · hvad gør vi, hvis der findes noget, og hvem betaler for rettelserne?

Hvad der påvirker omfanget af en test, og hvordan opgaver prissættes, står under pris og tilbud. Ledelsens valg om omfang er beskrevet i → Ledelsens valg og omfang.

Finansiering uden intern strid

Partnere kan have forskellige økonomiske interesser. En partner med klienter i en reguleret branche kan have mere brug for testen end en partner med enkeltpersoner som klienter, og spørgsmålet om, hvem der betaler, kan blive et stridspunkt.

Partnerkredsen kan vælge at behandle IT-sikkerhed som en fælles driftsomkostning, ligesom husleje og forsikring. Det signalerer, at klienternes oplysninger er firmaets fælles ansvar, og det undgår, at testen bliver et forhandlingsemne. Det gør det også lettere at planlægge, fordi beløbet kan indgå i budgettet år for år i stedet for at blive forhandlet hver gang. Hvis en partner ønsker en ekstra test af et system, der kun bruges i den partners praksis, kan det aftales særskilt. → Hvem betaler testen?

Når resultatet skal deles

Et testresultat kan vise, at en svaghed især hænger sammen med en bestemt afdeling, et bestemt system eller en bestemt partners måde at arbejde på. Hvis resultatet præsenteres, så det peger fingre, bliver det en intern konflikt i stedet for en plan.

Ejeren af sikkerheden kan derfor aftale med testeren, at resultatet fremlægges som risici for firmaet, ikke som kritik af personer. Alle partnere bør få samme korte resumé, så ingen føler sig holdt udenfor. Den fulde rapport kan holdes i en mindre kreds, fordi den beskriver svagheder, der endnu ikke er rettet. Hvordan fordelingen kan besluttes, er beskrevet i → Hvem i virksomheden skal kende resultatet?

Hvis resultatet giver anledning til at overveje, om klienter skal orienteres, er det et spørgsmål, partnerkredsen skal tage stilling til samlet og med rådgivning, ikke den enkelte partner over for egne klienter.

Et tænkt eksempel

Et revisionsfirma med fem partnere og et fælles klientsystem drøfter en test efter en klients spørgsmål om sikkerheden. Partnermødet udpeger den partner, der har ansvaret for driften, som ejer. Testen finansieres som fælles driftsomkostning. Resultatet viser to alvorlige fund i fjernadgangen og et i deling af filer med klienter. Alle partnere får et resumé på én side, og den fulde rapport ligger hos ejeren og driftschefen. Rettelserne godkendes på næste partnermøde, og status sættes på dagsordenen hver måned, indtil de er lukket.

Det skal I lade være med

At lade sikkerheden være alles og dermed ingens ansvar · udpeg én partner.
At lade den enkelte partner betale for testen af fælles systemer · gør det til en fælles omkostning.
At præsentere resultatet som kritik af personer · fremlæg risici for firmaet.
At sende den fulde rapport til hele partnerkredsen · resumé til alle, rapport til få.
At lade den enkelte partner orientere egne klienter på egen hånd · beslut det samlet.

Hvad kan og ikke kan konkluderes

En partnerkreds, der udpeger en ejer, beslutter testen samlet og deler resultatet ens, kan bruge testen som et fælles redskab frem for et stridspunkt. Det afgør ikke, om firmaet opfylder sine pligter over for klienterne, eller hvad branchens regler konkret kræver. Det afhænger af firmaets forhold og bør vurderes med rådgivning.

Tjekliste til partnerkredsen

☐ Er én partner udpeget som ejer af sikkerheden, og står det i referatet?
☐ Ved vi, hvilket flertal partnerskabsaftalen kræver for beslutningen?
☐ Er testen finansieret som fælles omkostning?
☐ Er det aftalt, hvem der får resumé, og hvem der får rapporten?
☐ Er det aftalt, hvordan spørgsmålet om orientering af klienter besluttes?

Kilder

Advokatsamfundet, Tavshedspligt: tavshedspligten omfatter også situationer, hvor advokaten ikke har sikret sig tilstrækkeligt mod, at oplysninger kommer til andres kundskab.
Revisorloven, LBK nr. 206 af 20/02/2025: § 30, stk. 1, om tilsvarende anvendelse af straffelovens regler om tavshedspligt på revisorer.
Databeskyttelsesforordningen (EU) 2016/679: artikel 32, stk. 1, litra d, om regelmæssig afprøvning, vurdering og evaluering af sikkerhedsforanstaltningernes effektivitet.

Senest gennemgået: oktober 2026.